Dnia 21 grudnia 2007 r. Prezydent RP skierował do rozpatrzenia przez Sejm Rzeczypospolitej Polskiej projekt nowelizacji ustawy o ochronie danych osobowych. Zgodnie z nim niewykonywanie decyzji generalnego inspektora będzie zagrożone karą pieniężną do 100 tys. Euro, za nielegalne przetwarzanie danych szczególnie wrażliwych przewidziano karę pozbawienia wolności do dwóch lat, GIODO ma uzyskać prawo do występowania z wnioskiem o podjęcie inicjatywy ustawodawczej.

Projekt

USTAWA

z dnia
o zmianie ustawy o ochronie danych osobowych

Art. 1

W ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych

(Dz. U. z 2002 r. Nr 101, poz. 926, z późn. zm.*) wprowadza się następujące zmiany:

1) w art. 7 pkt 5 otrzymuje brzmienie:
5) zgodzie osoby, której dane dotyczą - rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie,

2) w art. 12a ust. 3 otrzymuje brzmienie:
3. Zastępca Generalnego Inspektora powinien spełniać wymogi określone w art. 8 ust. 3.

3) w art. 13:
a) po ust. 1 dodaje się ust. 1a w brzmieniu:
1a. Generalny Inspektor w przypadkach uzasadnionych charakterem i liczbą spraw z zakresu ochrony danych osobowych na danym terenie może wykonywać swoje zadania przy pomocy jednostek zamiejscowych Biura.",
b) ust. 3 otrzymuje brzmienie:
3. Organizację, zasady działania Biura oraz siedziby jednostek zamiejscowych i zakres ich właściwości terytorialnej określa statut nadany, w drodze rozporządzenia, przez Prezydenta Rzeczypospolitej Polskiej, na wniosek Generalnego Inspektora.

4) po art. 19 dodaje się art. 19a w brzmieniu:
Art. 19a.
1. W celu realizacji zadań, o których mowa w art. 12 pkt 5, Generalny Inspektor może kierować do organów państwowych, organów samorządu terytorialnego, państwowych i komunalnych jednostek organizacyjnych, podmiotów niepublicznych realizujących zadania publiczne, osób fizycznych i prawnych, jednostek organizacyjnych niebędących osobami prawnymi oraz innych podmiotów wystąpienia zmierzające do zapewnienia skutecznej ochrony danych osobowych.
2. Generalny Inspektor może również występować do właściwych organów z wnioskami o podjęcie inicjatywy ustawodawczej albo o wydanie bądź zmianę aktów prawnych w sprawach dotyczących ochrony danych osobowych.
3. Podmiot, do którego zostało skierowane wystąpienie lub wniosek, o których mowa w ust. 1 i 2, jest obowiązany ustosunkować się do tego wystąpienia lub wniosku na piśmie w terminie 30 dni od daty jego otrzymania.

5) uchyla się art. 29;

6) w art. 33 ust. 1 otrzymuje brzmienie:
1. Na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a.

7) w art. 41:
a) w ust. 1 pkt 2 otrzymuje brzmienie:
2) oznaczenie administratora danych i adres jego siedziby lub miejsca zamieszkania, w tym numer identyfikacyjny rejestru podmiotów gospodarki narodowej, jeżeli został mu nadany, oraz podstawę prawną upoważniającą do prowadzenia zbioru, a w przypadku powierzenia przetwarzania danych podmiotowi, o którym mowa w art. 31, lub wyznaczenia podmiotu, o którym mowa w art. 31a, oznaczenie tego podmiotu i adres jego siedziby lub miejsca zamieszkania,",
b) ust. 2 otrzymuje brzmienie:
2. Administrator danych jest obowiązany zgłaszać Generalnemu Inspektorowi każdą zmianę informacji, o której mowa w ust. 1, w terminie 30 dni od dnia dokonania zmiany w zbiorze danych, z zastrzeżeniem ust. 3.",
c) dodaje się ust. 3 i 4 w brzmieniu:
3. Jeżeli zmiana informacji, o której mowa w ust. 1 pkt 3a, dotyczy rozszerzenia zakresu przetwarzanych danych o dane, o których mowa w art. 27 ust. 1, administrator danych jest zobowiązany do jej zgłoszenia przed dokonaniem zmiany w zbiorze.
4. Do zgłaszania zmian stosuje się odpowiednio przepisy o rejestracji zbiorów danych.

8) po rozdziale 7 dodaje się rozdział 7a w brzmieniu:
Rozdział 7a
Kary pieniężne
Art. 48a.
1. Generalny Inspektor może nałożyć, w drodze decyzji administracyjnej, karę pieniężną w wysokości stanowiącej równowartość od 1000 do 100 000 euro na podmiot, który nie wykonuje decyzji Generalnego Inspektora wydanej na podstawie art. 18 ust. 1 lub art. 44 ust. 2 i od której nie przysługują środki zaskarżenia oraz skarga do sądu administracyjnego.
2. Ustalając wysokość kary pieniężnej Generalny Inspektor uwzględnia zakres naruszenia, dotychczasową działalność podmiotu w zakresie przestrzegania przepisów ustawy o ochronie danych osobowych oraz jego możliwości finansowe.
3. Wymiar kary pieniężnej jest wyrażany w złotych i ustalany przy zastosowaniu kursu średniego ogłaszanego przez Narodowy Bank Polski w dniu wydania decyzji o nałożeniu kary.
4. Niezależnie od kary pieniężnej, o której mowa w ust. 1, Generalny Inspektor może nałożyć, w drodze decyzji administracyjnej, na kierownika kontrolowanej jednostki organizacyjnej albo osobę działającą z jego upoważnienia, którzy uniemożliwiają lub utrudniają przeprowadzenie czynności kontrolnych, o których mowa w art. 14 pkt 1-4, karę pieniężną w wysokości do 300% ich miesięcznego wynagrodzenia.
5. Podmiot, o którym mowa w ust. 1, oraz kierownik albo osoba, o których mowa w ust. 4, są obowiązani do dostarczenia Generalnemu Inspektorowi, na każde jego żądanie, w terminie 14 dni od dnia otrzymania żądania, informacji niezbędnych do określenia podstawy wymiaru kary pieniężnej. W przypadku niedostarczenia informacji, lub gdy dostarczone informacje uniemożliwiają ustalenie podstawy wymiaru kary, Generalny Inspektor może wobec podmiotu ustalić podstawę wymiaru kary pieniężnej w sposób szacunkowy, nie mniejszą jednak niż równowartość 10 000 euro, a w przypadku kierownika albo osoby, o których mowa w ust. 4, nałożyć karę w wysokości do 100 000 zł.
6. Kary pieniężnej nie nakłada się, jeżeli od dnia popełnienia czynu, o którym mowa w ust. 1 i 4, upłynęły 2 lata.

Art. 48b.
Wniesienie skargi od decyzji o nałożeniu kary pieniężnej wstrzymuje wykonanie decyzji. Sąd administracyjny wyznacza rozprawę w terminie przypadającym w ciągu 30 dni od dnia przekazania odpowiedzi na skargę.

Art. 48c.
1. Termin uiszczenia kar pieniężnych wynosi 14 dni od dnia, w którym decyzja o nałożeniu kary stała się ostateczna, a w przypadku wniesienia skargi do sądu administracyjnego 14 dni od dnia uprawomocnienia się wyroku.
2. Kary pieniężne nieuiszczone w terminie podlegają wraz z odsetkami za zwłokę, przymusowemu ściągnięciu, w trybie określonym w przepisach o postępowaniu egzekucyjnym w administracji.
3. Środki finansowe pochodzące z kar pieniężnych stanowią dochód budżetu państwa.

9) uchyla się art. 50;

10) w art. 53 dotychczasową treść oznacza się jako ust. 1 i dodaje ust. 2 w brzmieniu:
2. Kto przetwarza dane, o których mowa w art. 27 ust. 1, przed zarejestrowaniem zbioru, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

11) po art. 53 dodaje się art. 53a w brzmieniu:
Art. 53a.
Kto będąc do tego obowiązany nie zgłasza Generalnemu Inspektorowi zmiany informacji zawartych w zgłoszeniu zbioru danych do rejestracji, w terminie 30 dni od dnia dokonania zmiany w zbiorze, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku."


Art. 2

Ustawa wchodzi w życie po upływie 3 miesięcy od dnia ogłoszenia.


* - Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2002 r. Nr 153, poz. 1271, z 2004 r. Nr 25, poz. 219 i Nr 33, poz. 285, z 2006 r. Nr 104, poz. 708 i 711 oraz z 2007 r. Nr 165, poz. 1170 i Nr 176, poz. 1238.